山东某医学检验公司患者诊疗数据泄露案

【案件背景】
山东某医学检验公司是多家医院和体检中心的第三方检验检测服务商，负责处理大量的临床样本检验和基因检测业务。在日常运营中，该公司的信息系统存储了海量患者的个人身份信息和检验检测报告数据。2025年9月，属地网信部门在网络安全监测中发现，该公司的检验检测数据管理系统存在严重安全漏洞，数据库服务端口暴露在公网且未配置任何访问控制措施，随即介入调查。

【违法事实】
1. 敏感个人信息未加密存储：该公司系统中存储的患者数据包括姓名、身份证号、手机号码、家庭住址、以及检验项目和报告结果（含基因检测结果、肿瘤标志物数据、遗传病筛查数据等），上述信息中包含大量属于《个人信息保护法》第二十八条规定的敏感个人信息——医疗健康信息、生物识别信息（某些检测涉及DNA序列数据），但该公司未对任何数据实施加密存储，所有数据以明文形式存放；
2. 数据库暴露于互联网：公司的核心业务数据库MySQL端口（3306）对外网完全开放，且未设置密码访问策略、IP白名单、防火墙等最基本的网络安全防护措施，任何人均可通过公网对该数据库进行未授权访问和数据导出；
3. 系统存在高危漏洞未修复：经技术检测，公司的业务系统存在多个已知高危漏洞（包括SQL注入、未授权访问、XSS跨站脚本等），但公司没有建立漏洞管理和修复机制，安全补丁长期未更新；
4. 数据安全管理体系缺失：公司未按照《个人信息保护法》第五十一条的要求建立内部管理制度和操作规程，未设立数据安全负责人岗位，未开展过网络安全等级保护测评，也未制定数据安全事件应急预案；
5. 第三方访问缺乏管控：公司将系统维护外包给第三方IT服务公司，但未在合同中约定数据安全保护义务，也未对外包方的访问行为进行有效监督和审计。

【处罚决定】
属地网信部门依法对该公司作出警告、罚款的行政处罚，并责令限期改正：立即关闭数据库的公网访问端口，配置防火墙和安全组策略；对所有患者数据实施加密存储和传输；修复系统漏洞，设置多因素认证和访问审计；建立数据安全管理制度和应急预案；对第三方服务商的数据访问行为进行审计和限制。

【典型意义】
医疗数据是数据合规中风险最高、保护要求最严格的领域之一。患者诊疗数据中包含的基因信息、疾病史、检验结果等，一旦泄露，对个人造成的损害是不可逆的——基因信息终生无法更改。本案暴露了医疗服务供应链中第三方检验检测机构的数据安全短板：作为大量医疗数据的实际处理者，第三方公司往往缺乏与医院同等的数据安全投入和管理水平，成为整个医疗数据保护链条中最薄弱的环节。本案提示，委托方在处理医疗健康数据的外包业务时，应当对受托方的数据安全能力进行审慎评估和持续监督，否则可能承担连带责任。